自主访问控制（Discretionary Access Control，简称 DAC）是一种计算机安全模型，主要依据数据的所有者或者那些被所有者委派权限的用户的自行决定，来授予或限制对系统对象（如文件或目录）的访问。在这种模式下，所有者可以决定谁可以访问特定的数据资源以及如何访问。
DAC 是最常见的访问控制机制，特别是在个人计算机和某些操作系统（如 Windows 和 UNIX-like 系统）中。例如，在一个采用 DAC 的文件系统中，文件的拥有者可以更改它们文件的权限，决定哪些用户可以读取、写入或执行该文件。
DAC 系统通常实现了以下几个方面的功能：
- 权限分配：文件或资源的拥有者可以指定谓词集合，如读（R）、写（W）和执行（X）权限。
- 用户和用户组：系统中的每个用户可能属于一个或多个用户组，权限可以分配给单个用户或用户组。
- 权限继承：在某些系统中，目录的权限可以被继承给它们下面的文件和子目录。
- 访问列表：通常使用访问控制列表（Access Control Lists，ACLs）来记录哪些用户或用户组对特定资源拥有哪些权限。
然而，DAC 也有一些局限性和安全隐患
- 若系统中有恶意软件或者用户的权限过于宽泛，可能会导致不合适的权限被授予，从而带来安全风险。
- DAC 依赖于使用者的决策，如果用户不够谨慎或缺乏安全意识，可能会错误地配置权限。
- 在某些情况下，需要更为严格和统一管理的访问控制方式，例如强制访问控制（Mandatory Access Control，MAC）或基于角色的访问控制（Role-Based Access Control，RBAC）。
尽管存在这些缺点，DAC 因其灵活性和简单性在许多系统中仍然被广泛使用。正确配置和有意识的使用可以在很大程度上缓解可能的安全风险。
DAC主要的内容包括以下几个概念：主体、客体、权限（rwx）、所有权（ugo）。
在这个模型中，主体是用户的身份，客体是资源或者说是文件（切记：一切皆文件）。由客体的属主对自己的客体进行管理，由主体自己决定是否将自己的客体访问权限或部分访问权限授予其他主体，这种控制方式是自主的。也就是说，在自主访问控制下，用户可以按自己的意愿，有选择地与其他用户共享他的文件。
DAC是一种相对比较宽松但是却很有效的保护资源不被非法访问和使用的手段。说它宽松，是因为他是自主控制的，在保护资源的时候是以个人意志为转移的；说它有效，是因为可以明确的显式的指出主体在访问或使用某个客体时究竟是以何种权限来实施的，任何超越规定权限的访问行为都会被访问控制列表判定后而被阻止。
强制访问控制模型（MAC）
强制访问控制模型(MAC, Mandatory Access Control),是为了弥补DAC权限控制过于分散的问题而诞生的。
Subject被赋予一定的安全级别 Object被赋予一定的安全级别 Subject能否访问Object由双方的关系安全级别决定，这个判断通常有系统硬性限制 MAC非常适合机密机构或者其他等级观念强烈的行业，过重强调保密性，管理不够灵活。在实现上，MAC和DAC通常为每个用户赋予对客体的访问权限规则集，考虑到管理的方便，在这一过程中还经常将具有相同职能的用户聚为组，然后再为每个组分配许可权。
